Hallo , zusammen,

Bitte um Auswertung meines HJT logs.

Die Vorgeschichte:
Main PC ist HP Compaq Evo D510 CMT.
Ich hatte plötzlich keine Internetverbindung (DSL über FritxBox Fon WLAN 7050). Die Firewall hat sich selbst ausgeschaltet.
Ich versuchte Firewall/ICS im Windows Security Center und über Computer Management/Services manuell zu starten, es war nicht möglich.
Hier einige Störungsmeldungen, bzw. Ausdrucke aus dem Event Viewer ( sorry für die englische Ausdrucksweise , aber mein PC hat Windows XP pro englische Version, also ich lasse es lieber im Original )
„Could not start the Windows Firewall/Internet Connection Sharing (ICS) .. Error 2001: The specified driver is invalid”
„ The TCP/IP Protocol Driver service failed to start due to the following error: The specified driver is invalid”

Ich habe auch versucht mich über Modem -dial Up bei einem Internet to Call Provider einzulogen. Nach Prüfung des Passwortes hat mich der Server zugelassen, also registriert, doch gleich danach brach die Verbindung ab.

Am Anfang dachte ich dass ein Treiber kaputt war und habe alle mögliche neue Driver von der HP –Service Seite geladen und entsprechend ausgetauscht -ohne Erfolg. Dann habe ich die Netzwerkkarte ausgewechselt und wieder versucht , leider ohne Erfolg.

Als nächste Maßnahme habe ich mein Windows neu installiert, also im Repair-Modus . Gleich nach der neuen Installation hatte ich für etwa 20 min Internet und wollte gleich die Windows Up- dates herunterladen. Dies ging eine Weile und dann brach das Internet samt Firewall und ICS wieder zusammen.

Ich begann nach Viren zu suchen. Dann stellte ich fest dass Mein Antivirusprogramm NOD 32 zwei mall, gerade zu den Zeitpunkten wo die Internetfunktion beendet wurde , ein W 32/small BB Trojan registriert hatte.

Diesen Trojaner konnte ich aber niergendwo im Internet erlautert bekommen

Hier einen Auszug aus dem Threat Log:
„09.02.2008 16:15:02 IMON file http://85.255.115.221/e509.gif a variant of Win32/Small.BB trojan
…………………………………………..
27.01.2008 18:32:00 AMON file D:\DOCUME~1\ADMINI~1.NIK\LOCALS~1\Temp\dat1DA3.tmp a variant of Win32/Small.BB trojan/ quarantined - deleted / Event occurred on a new file created by the application: D:\Program Files\Internet Explorer\iexplore.exe. The file was moved to quarantine..
……………………………………
27.01.2008 18:30:52 AMON file D:\DOCUME~1\ADMINI~1.NIK\LOCALS~1\Temp\sch20ddshlp.dll a variant of Win32/Rootkit.Agent.QQ trojan / quarantined – deleted/ Event occurred on a new file created by the application: D:\Program Files\Internet Explorer\iexplore.exe. “

Heute habe ich mit HijackThis gescannt.

Hier ist mein HJT- Log .
Bitte um Auswertung und dringende Hilfe.
Wegen Ausfall meiner Internetfunktion kann ich weder Dateien im WEB- Raum online auswerten lassen , noch Anti- spy Software installieren , da eine (notwendige) Registrierung ohne Internet nicht geht.

Log file of HijackThis v1.99.1
Scan saved at 16:06:00, on 10.02.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\csrss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\Labtec\Keyboard\V5.1\kbdap32a.exe
D:\WINDOWS\system32\LVCOMSX.EXE
D:\Program Files\Logitech\Video\LogiTray.exe
D:\Program Files\Eset\nod32kui.exe
D:\Program Files\QuickTime\qttask.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
D:\WINDOWS\system32\RUNDLL32.EXE
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
D:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
D:\Program Files\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
D:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
D:\Documents and Settings\All Users\Application Data\Spontania4IM\spontania4IM.exe
D:\Program Files\Logitech\Video\FxSvr2.exe
D:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
D:\Program Files\FRITZ!DSL\IGDCTRL.EXE
D:\WINDOWS\system32\svchost.exe
D:\Program Files\Common Files\LightScribe\LSSrvc.exe
D:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
D:\Program Files\Eset\nod32krn.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\Program Files\Cyberlink\Shared files\RichVideo.exe
D:\WINDOWS\system32\slserv.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\WFXSVC.EXE
D:\Program Files\Symantec\WinFax\WFXMOD32.EXE
D:\WINDOWS\system32\wscntfy.exe
D:\Program Files\FRITZ!DSL\StCenter.exe
D:\WINDOWS\system32\rundll32.exe
D:\Program Files\Eset\nod32.exe
D:\Program Files\Adobe\Adobe Acrobat 6.0\Acrobat\Acrobat.exe
D:\Program Files\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: (no name) - {87766247-311C-43B4-8499-3D5FEC94A183} - (no file)
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - D:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: MyQuickSearch Search Assistant BHO - {04011C11-2F3B-44ed-977C-270CA669C6B2} - D:\Program Files\MyQuickSearch\SrchAstt\1.bin\MQSSRCAS.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Adobe Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: mqsBar BHO - {0E677221-E309-4341-81BD-3CC3018BF5B3} - (no file)
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - D:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: IEHlprObj Class - {40AC4D2D-491D-11D4-AAF2-0008C75DCD2B} - D:\WINDOWS\bpboh.dll
O2 - BHO: (no name) - {6D075724-4DED-4B10-A0CC-7C428E68C53A} - D:\WINDOWS\system32\AdobePDFq.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {864D5D86-BB7B-43B5-A021-0DE3E4CF5C67} - d:\windows\system32\cmpbk32p.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - d:\program files\google\googletoolbar3.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Program Files\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - D:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Program Files\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: My &Quick Search - {0E677229-E309-4341-81BD-3CC3018BF5B3} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\program files\google\googletoolbar3.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [OFFICEKB] D:\Program Files\Labtec\Keyboard\V5.1\kbdap32a.exe
O4 - HKLM\..\Run: [LVCOMSX] D:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] D:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] D:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [nod32kui] "D:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ulutil2.dll,SetWriteBack
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PCLEPCI] D:\PROGRA~1\Pinnacle\PPE\PPE.EXE
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] D:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [multi name] D:\DOCUME~1\ADMINI~1.NIK\APPLIC~1\1REAL~1\copyaxis.exe
O4 - HKCU\..\Run: [LaunchList] c:\Program Files\Pinnacle\Studio 11\LaunchList2.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "D:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - Startup: FRITZ!DSL Internet.lnk = D:\Program Files\FRITZ!DSL\FritzDsl.exe
O4 - Global Startup: Acrobat Assistant.lnk = D:\Program Files\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Spontania Monitor.lnk = D:\Documents and Settings\All Users\Application Data\Spontania4IM\spontania4IM.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Save with Download Manager... - D:\Program Files\J River\Media Jukebox\DMDownload.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - D:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: d:\program files\fritz!dsl\sarah.dll
O16 - DPF: {14C1B87C-3342-445F-9B5E-365FF330A3AC} (Hewlett-Packard Online Support Services) - http://h50203.www5.hp.com/HPISWeb/Customer/cabs/HPISDataManager.CAB
O16 - DPF: {2AF5BD25-90C5-4EEC-88C5-B44DC2905D8B} (DownloadManager Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.0.5.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1190385993687
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1190385923593
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://floridakeysmedia.tv/axiscam/Codebase/AxisCamControl.ocx
O16 - DPF: {9b935470-ad4a-11d5-b63e-00c04faedb18} -
O16 - DPF: {E5ABEB00-B357-4884-9949-77B2C71A7EE3} (BoardCtl Class) - http://www.intel.com/design/motherbd/boardid/BoardID.cab
O16 - DPF: {EAA105FE-7BBD-4196-8B96-D46743894195} (MjpegControl Class) - http://wellington1.hopto.org:3000/plugin/mjpegcontrol.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{60FDF8CA-3A64-43BD-BECF-2581789BE659}: NameServer = 192.168.122.252,192.168.122.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{90E30851-EB6E-4975-BEA0-C01F9CD7846D}: NameServer = 10.84.2.3,10.84.2.1,10.84.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: NavLogon - D:\WINDOWS\
O20 - Winlogon Notify: oobshgyg - D:\WINDOWS\SYSTEM32\cmpbk32p.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - D:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - D:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
O23 - Service: Adobe LM Service - Unknown owner - D:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - D:\Program Files\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - D:\Program Files\Common Files\AVM\de_serv.exe
O23 - Service: Google Updater Service (gusvc) - Google - D:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - D:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - D:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: MSSQL$PINNACLESYS - Unknown owner - C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe" -sPINNACLESYS (file missing)
O23 - Service: NBService - Nero AG - C:\Program Files\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
O23 - Service: OracleClientCache80 - Unknown owner - C:\Oracle\Disco\BIN\ONRSD80.EXE
O23 - Service: OracleOraHome81ClientCache - Unknown owner - C:\Oracle\Ora81\BIN\ONRSD.EXE
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - D:\Program Files\Cyberlink\Shared files\RichVideo.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - D:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: SQLAgent$PINNACLESYS - Unknown owner - C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlagent.EXE" -i PINNACLESYS (file missing)
O23 - Service: WinFax PRO (wfxsvc) - Symantec Corporation - D:\WINDOWS\system32\WFXSVC.EXE

Vielen Fank im Voraus

Ein verzweifelter PC-User
Nick

Hallo

dein System sieht ganz schön verhackstückt aus.

Wegen Ausfall meiner Internetfunktion kann ich weder Dateien im WEB- Raum online auswerten lassen , noch Anti- spy Software installieren , da eine (notwendige) Registrierung ohne Internet nicht geht.

Dann würde ich dir eigentlich eine Neuinstallation empfehlen, diesesmal aber besser nach diese Anleitung.
Neuaufsetzen des Systems und anschliessende Absicherung!

Wenn du wirklich noch etwas versuchen möchtest melde dich nochmal, es ist aber nicht zu empfehlen, da du eine Umleitung deines Internetverkehrs über die Ukraine hattest, so wie es sich darstellt ich kann mich aber auch täuschen.
Ändere unbedingt nach der Neuinstallation alle deine Pass- und Kennwörter.
Es sind zudem mehrere Schädlinge bzw. unbekannte Dateien im HijackThis Log ersichtlich die nicht unbedingt mehr Hoffnung auf eine reibungslose Bereinigung hoffen lassen.

MFG

Hallo ,
Danke

Ich hatte ja eine neue Instalation gamacht ( s. mein Thread).

Ind ich hatte danach denFirewall/ICS service laufen bekommen.
Doch nur fur eine kurze Zeit.
Also, die neue Instalation hat nur wenig geholfen.

Das Problem steckt weiter im System

Was kann man noch machen
Grusse
Nick

Hallo

Ich hatte ja eine neue Instalation gamacht ( s. mein Thread).

Nö hast du nicht

Als nächste Maßnahme habe ich mein Windows neu installiert, also im Repair-Modus

Aha, du meinst du hast überweggebügelt...
Kein Wunder das dein Problem bestehen blieb/bleibt.
Lies doch bitte die verlinkte Anleitung mal, dann wirst den Unterschied zu deiner "Neuinstallation" erkennen.

MFG

Hallo,
ich mochte zunachst von einer neue Instalation Abstand nehmen, da ich auf diesem System bereits viele Programe habe, die ich nach einer neuen Instalation schwierig wiederherstellen kann.

Kann mir bitte jemand helfen , den HJT- Log auszuwerten und die gegebenfalls vorhandenen Schadlinge weg zu loschen. Ich kann diese selber nicht erkennen.

Bitte, bitte, helfe wer kann!

Grusse
Nick